Importa Google Cloud log

Supportato in:

Questa pagina descrive come attivare e disattivare l'acquisizione dei dati Google Cloud in Google Security Operations. In questo modo puoi archiviare, cercare ed esaminare le informazioni di sicurezza aggregate per la tua azienda, risalendo a mesi o più indietro, in base al periodo di conservazione dei dati.

Panoramica

Esistono due opzioni per inviare i dati di Google Cloud a Google SecOps. La scelta dell'opzione giusta dipende dal tipo di log.

Opzione 1: importazione diretta

È possibile configurare un filtro speciale di Cloud Logging in Google Cloud per inviare tipi di log specifici a Google SecOps in tempo reale. Questi log sono generati dai servizi Google Cloud . I log vengono raccolti a partire dal momento in cui viene configurato il filtro. I log generati prima della configurazione non sono inclusi. Questo inoltro in tempo reale si applica a Cloud Logging, ai metadati degli asset di Cloud e ai risultati di Security Command Center Premium.

Utilizza questo metodo per i log con volumi elevati, come i log di flusso VPC e DNS. Questo percorso è ottimizzato per la velocità e non richiede una configurazione aggiuntiva nella console Google Cloud .

Google Security Operations importa solo i tipi di log supportati. I tipi di log disponibili includono:

  • Cloud Audit Logs
  • Cloud NAT
  • Cloud DNS
  • Cloud Next Generation Firewall
  • Cloud Intrusion Detection System
  • Cloud Load Balancing
  • Cloud SQL
  • Log eventi di Windows
  • Syslog Linux
  • Sysmon Linux
  • Zeek
  • Google Kubernetes Engine
  • Daemon di controllo (auditd)
  • Apigee
  • Google Cloud Fraud Defense
  • Log di Cloud Run (GCP_RUN)
  • Google Cloud provvedimento per comportamento illecito
  • Google Cloud DNS Advanced Threat Detection (GCP_DNS_ATD)
  • Log di Model Armor

Per informazioni dettagliate sui filtri dei log specifici e altri dettagli sull'importazione, consulta Esporta i log Google Cloud in Google SecOps.

Puoi anche inviare i metadati degli asset Google Cloud utilizzati per l'arricchimento del contesto. Per maggiori dettagli, consulta Esporta i metadati degli asset Google Cloud in Google SecOps.

Opzione 2: Google Cloud Storage

Cloud Logging può eseguire il routing dei log a Cloud Storage tramite Google SecOps in base a una pianificazione.

Utilizza questa opzione se devi filtrare i log prima che raggiungano Google SecOps. In questo modo puoi applicare filtri di esclusione delle espressioni regolari in modo che solo i log pertinenti alla sicurezza vengano conteggiati ai fini della quota, il che può aiutarti a risparmiare sui costi.

Per maggiori dettagli su come configurare Cloud Storage per Google SecOps, consulta Gestione dei feed: Cloud Storage.

Prima di iniziare

Prima di poter importare i dati Google Cloud in un'istanza Google SecOps, devi assicurarti di disporre delle autorizzazioni appropriate.

Autorizzazioni richieste

Concedi uno dei seguenti ruoli IAM (Identity and Access Management) a livello di organizzazione per accedere alla sezione Google SecOps, a seconda del tuo obiettivo:

  • Per configurare, attivare o modificare l'importazione:
    • Chronicle Service Admin (roles/chroniclesm.admin): richiesto per eseguire tutte le attività di configurazione e attivazione.
  • Per visualizzare solo lo stato di importazione:
    • Chronicle Service Viewer (roles/chroniclesm.viewer): consente di visualizzare lo stato di importazione, ma non concede le autorizzazioni per attivarlo o modificarlo.

Altre autorizzazioni

A seconda del tipo di dati che prevedi di importare o verificare, potresti anche aver bisogno di:

  • Security Center Admin Editor (roles/securitycenter.adminEditor): obbligatorio se prevedi di abilitare l'importazione dei metadati degli asset Cloud.
  • Organization Role Viewer (roles/iam.organizationRoleViewer): richiesto per visualizzare i ruoli IAM predefiniti o personalizzati a livello di organizzazione.

Prerequisiti

Concedi ruoli IAM

Puoi concedere i ruoli IAM richiesti utilizzando la console Google Cloud o gcloud CLI.

Per concedere i ruoli IAM utilizzando la console Google Cloud , completa i seguenti passaggi:

  1. Accedi all'organizzazione Google Cloud a cui vuoi connetterti e vai alla schermata IAM utilizzando Prodotti > IAM e amministrazione > IAM.

  2. Nella schermata IAM, seleziona l'utente e fai clic su Modifica membro.

  3. Nella schermata Modifica autorizzazioni, fai clic su Aggiungi un altro ruolo e cerca Google SecOps per trovare i ruoli IAM.

  4. Dopo aver assegnato i ruoli, fai clic su Salva.

Per concedere i ruoli IAM utilizzando Google Cloud CLI, completa i seguenti passaggi:

  1. Esegui gcloud init per verificare di aver eseguito l'accesso all'organizzazione e al progetto corretti.

  2. Esegui i seguenti comandi corrispondenti ai ruoli specifici che devi concedere:

    • Per concedere il ruolo Chronicle Service Admin:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.admin

      Sostituisci quanto segue:

      • ORGANIZATION_ID: l'ID organizzazione numerico.
      • USER_EMAIL: l'indirizzo email dell'utente.

    • Per concedere il ruolo Chronicle Service Viewer:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/chroniclesm.viewer

    • Per concedere il ruolo Security Center Admin Editor:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/securitycenter.adminEditor

    • Per concedere il ruolo Organization Role Viewer:

      gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member "user:USER_EMAIL" \
--role roles/iam.organizationRoleViewer

Abilita l'importazione diretta da Google Cloud

I passaggi per attivare l'importazione diretta da Google Cloud variano a seconda della proprietà del progetto a cui è associata l'istanza di Google SecOps.

Dopo aver configurato l'importazione diretta, i dati Google Cloud vengono inviati a Google SecOps. Puoi utilizzare le funzionalità di analisi di Google SecOps per esaminare i problemi relativi alla sicurezza.

Configura l'importazione quando il progetto è di proprietà del cliente

Se sei il proprietario del progetto Google Cloud , segui questi passaggi.

Puoi configurare l'importazione diretta da più organizzazioni utilizzando la stessa pagina di configurazione a livello di progetto. Per creare una nuova configurazione e modificarne una esistente, segui questi passaggi.

Quando esegui la migrazione di un'istanza Google SecOps esistente in modo che venga associata a un progetto di tua proprietà, se l'importazione diretta è stata configurata prima della migrazione, viene eseguita anche la migrazione della configurazione dell'importazione diretta.

  1. Vai alla pagina Google SecOps > Impostazioni di importazione nella console Google Cloud .
    Vai alla pagina Google SecOps
  2. Seleziona il progetto associato alla tua istanza di Google SecOps.

  3. Nel menu Organizzazione, seleziona l'organizzazione da cui verranno esportati i log. Il menu mostra le organizzazioni a cui hai l'autorizzazione di accedere. L'elenco può includere organizzazioni non collegate all'istanza Google SecOps. Non puoi configurare un'organizzazione che invia dati a un'istanza Google SecOps diversa.

    Seleziona organizzazione

  4. Nella sezione Impostazione di importazione di Google Cloud, fai clic sul pulsante di attivazione/disattivazione Invio di dati a Google Security Operations per abilitare l'invio dei log a Google SecOps.

  5. Seleziona una o più delle seguenti opzioni per definire il tipo di dati inviati a Google SecOps:

  6. Nella sezione Impostazioni dei filtri di esportazione del cliente, configura i filtri di esportazione per personalizzare i dati di Cloud Logging inviati a Google SecOps. Consulta i tipi di log diGoogle Cloud supportati per l'esportazione.

  7. Per importare i log di un'altra organizzazione nella stessa istanza di Google SecOps, seleziona l'organizzazione dal menu Organizzazione e poi ripeti i passaggi per definire il tipo di dati da esportare e i filtri di esportazione. Nel menu Organizzazione verranno visualizzate più organizzazioni.

  8. Per esportare i dati di Sensitive Data Protection (precedentemente chiamati dati di Cloud Data Loss Prevention) in Google SecOps, consulta Esporta i dati di Sensitive Data Protection.

Configura l'importazione per un progetto gestito da Google

Se Google Cloud è proprietario del progetto, segui questi passaggi per configurare l'importazione diretta dalla tua organizzazione Google Cloud alla tua istanza di Google SecOps:

  1. Vai alla scheda Google SecOps > Panoramica > Importazione nella console Google Cloud . Vai alla scheda Ingestion di Google SecOps
  2. Fai clic sul pulsante Gestisci le impostazioni di importazione dell'organizzazione.
  3. Se viene visualizzato il messaggio Pagina non visualizzabile per i progetti, seleziona un'organizzazione e fai clic su Seleziona.
  4. Inserisci il codice di accesso una tantum nel campo Codice di accesso una tantum a Google SecOps.
  5. Seleziona la casella Accetto i termini e le condizioni di Google SecOps relativi all'utilizzo dei miei dati Google Cloud .
  6. Fai clic su Connetti Google SecOps.
  7. Vai alla scheda Global Ingestion Settings (Impostazioni di importazione globali) per l'organizzazione.

  8. Seleziona il tipo di dati che verranno inviati attivando una o più delle seguenti opzioni:

  9. Vai alla scheda Export Filter Settings (Impostazioni filtro di esportazione).

  10. Nella sezione Impostazioni dei filtri di esportazione del cliente, configura i filtri di esportazione per personalizzare i dati di Cloud Logging inviati a Google SecOps. Consulta i tipi di log diGoogle Cloud supportati per l'esportazione.

  11. Per esportare i dati di Sensitive Data Protection (precedentemente chiamati dati di Cloud Data Loss Prevention) in Google SecOps, consulta Esporta i dati di Sensitive Data Protection.

Esporta i log Google Cloud

Dopo aver attivato Cloud Logging, puoi esportare i dati dei log per i tipi di logGoogle Cloud supportati nella tua istanza di Google SecOps.

Per esportare i log Google Cloud in Google SecOps, imposta l'opzione Abilita i log di Cloud su Abilitato.

Tipi di log supportati per l'esportazione

Puoi personalizzare il filtro di esportazione dei log da esportare in Google SecOps. Includi o escludi i tipi di log aggiungendo o rimuovendo i filtri di esportazione supportati, elencati in questa sezione.

Puoi esportare i seguenti tipi di log Google Cloud nella tua istanza di Google SecOps. L'elenco seguente è organizzato per tipo di log e corrispondente etichetta di importazione di Google SecOps:

  • Cloud Audit Logs (GCP_CLOUDAUDIT):

    Sono inclusi i log Attività di amministrazione, Accesso ai dati, Evento di sistema, Access Transparency e Policy negata.

    • log_id("cloudaudit.googleapis.com/activity") (esportati dal filtro predefinito)
    • log_id("cloudaudit.googleapis.com/system_event") (esportati dal filtro predefinito)
    • log_id("cloudaudit.googleapis.com/policy")
    • log_id("cloudaudit.googleapis.com/access_transparency")

  • Log di Cloud NAT (GCP_CLOUD_NAT):

    • log_id("compute.googleapis.com/nat_flows")

  • Log di Cloud DNS (GCP_DNS):

    • log_id("dns.googleapis.com/dns_queries") (esportati dal filtro predefinito)

  • Logging delle regole della policy del firewall (GCP_FIREWALL):

    • log_id("compute.googleapis.com/firewall")

  • GCP_IDS:

    • log_id("ids.googleapis.com/threat")
    • log_id("ids.googleapis.com/traffic")

  • GCP_LOADBALANCING:

    Sono inclusi i log di Google Cloud Armor e Cloud Load Balancing (sia esterni che interni).

    • log_id("requests")
    • log_id("loadbalancing.googleapis.com/requests")
    • log_id("loadbalancing.googleapis.com/external_regional_requests")

  • GCP_CLOUDSQL:

    • log_id("cloudsql.googleapis.com/mysql-general.log")
    • log_id("cloudsql.googleapis.com/mysql.err")
    • log_id("cloudsql.googleapis.com/postgres.log")
    • log_id("cloudsql.googleapis.com/sqlagent.out")
    • log_id("cloudsql.googleapis.com/sqlserver.err")

  • GCP_VPC_FLOW:

    • log_id("compute.googleapis.com/vpc_flows") (solo per le regioni Stati Uniti e UE)
    • log_id("networkmanagement.googleapis.com/vpc_flows")

  • NIX_SYSTEM:

    • log_id("syslog")
    • log_id("authlog")
    • log_id("securelog")
    • log_id("osconfig.googleapis.com/patch_job")

  • LINUX_SYSMON:

    • log_id("sysmon.raw")

  • WINEVTLOG:

    • log_id("winevt.raw")
    • log_id("windows_event_log")

  • BRO_JSON:

    • log_id("zeek_json_streaming_conn")
    • log_id("zeek_json_streaming_dhcp")
    • log_id("zeek_json_streaming_dns")
    • log_id("zeek_json_streaming_http")
    • log_id("zeek_json_streaming_ssh")
    • log_id("zeek_json_streaming_ssl")

  • KUBERNETES_NODE:

    • log_id("events")
    • log_id("stdout")
    • log_id("stderr")

  • AUDITD:

    • log_id("audit_log")

  • GCP_APIGEE_X:

    • log_id("apigee.googleapis.com/ingress_instance")
    • log_id("apigee.googleapis.com")
    • log_id("apigee-logs")
    • log_id("apigee")
    • logName =~ "^projects/[\w\-]+/logs/apigee[\w\-\.]*$"

  • GCP_RECAPTCHA_ENTERPRISE (Google Cloud Fraud Defense):

    • log_id("recaptchaenterprise.googleapis.com/assessment")
    • log_id("recaptchaenterprise.googleapis.com/annotation")

  • GCP_RUN:

    • log_id("run.googleapis.com/stderr")
    • log_id("run.googleapis.com/stdout")
    • log_id("run.googleapis.com/requests")
    • log_id("run.googleapis.com/varlog/system")

  • GCP_NGFW_ENTERPRISE:

    • log_id("networksecurity.googleapis.com/firewall_threat")

  • GCP_ABUSE_EVENTS:

    • log_id("abuseevent.googleapis.com/abuse_events")

  • GCP_DNS_ATD

    • log_id("networksecurity.googleapis.com/dns_threat_events")

  • Log di Model Armor (GCP_MODEL_ARMOR):

    Sono inclusi i log per le operazioni di sanitizzazione (prompt e risposte di screening) e le operazioni sui modelli (creazione, aggiornamenti).

    • log_id("modelarmor.googleapis.com/sanitize_operations")
    • log_id("modelarmor.googleapis.com/templates")

Personalizza le impostazioni del filtro di esportazione

Per impostazione predefinita, i log di Cloud Audit Logs (attività di amministrazione ed eventi di sistema) e Cloud DNS vengono inviati alla tua istanza di Google SecOps. Tuttavia, puoi personalizzare il filtro di esportazione per includere o escludere tipi specifici di log.

I filtri sono soggetti a una lunghezza massima di 20.000 caratteri. Tieni presente che i filtri troppo complessi, in particolare quelli con molte condizioni AND o OR nidificate in profondità, potrebbero essere rifiutati anche se rientrano nel limite di caratteri. Semplificare i filtri può aiutare a evitare il rifiuto. Inoltre, tutti gli elementi all'interno del filtro devono essere esplicitamente limitati ai tipi di log supportati. Devi utilizzare log_id() o logName per fare riferimento ai tipi di log elencati nella sezione Tipi di log supportati per l'esportazione.

Per definire un filtro personalizzato per i log, segui questi passaggi:

  1. Identifica i log per il filtro personalizzato utilizzando lo strumento di definizione dell'ambito dei log.

  2. Nella sezione Filtro dei log generato automaticamente che segue lo strumento di definizione dell'ambito dei log, copia il codice del filtro dei log personalizzato generato.

  3. Vai alla pagina Google SecOps nella console Google Cloud e seleziona un progetto.
    Vai alla pagina Google SecOps

  4. Avvia Esplora log utilizzando il link nella scheda Impostazioni filtro di esportazione.

  5. Copia la nuova query nel campo Query e fai clic su Esegui query per testarla.

  6. Copia la nuova query nel campo Esplora log > Query, quindi fai clic su Esegui query per testarla.

  7. Verifica che i log corrispondenti visualizzati in Esplora log siano esattamente quelli che intendi esportare in Google SecOps. Quando il filtro è pronto, copialo nella sezione Impostazioni del filtro di esportazione personalizzato per Google SecOps.

  8. Torna alla sezione Impostazioni dei filtri di esportazione personalizzati nella pagina Google SecOps.

  9. Fai clic sull'icona Modifica nel campo Filtro di esportazione e incolla il filtro copiato nel campo.

  10. Fai clic su Salva.

    • Se viene visualizzato il messaggio di errore "Il filtro fornito potrebbe consentire tipi di log non supportati", è possibile che nel filtro di esportazione sia incluso un tipo di log non supportato. Rimuovi il tipo di log non supportato dal filtro di esportazione. Includi solo i tipi di log elencati in: Google Cloud Tipi di log supportati per l'esportazione.

    • Se il salvataggio va a buon fine, il nuovo filtro personalizzato funziona con tutti i nuovi log esportati nella tua istanza di Google SecOps.

    • (Facoltativo) Per reimpostare il filtro di esportazione sulla versione predefinita, salva una copia del filtro personalizzato e poi fai clic su Ripristina predefinito.

Ottimizza i filtri di Cloud Audit Logs

I log di accesso ai dati scritti da Cloud Audit Logs possono produrre un volume elevato di dati senza un grande valore per il rilevamento delle minacce. Se scegli di inviare questi log a Google SecOps, devi filtrare i log generati dalle attività di routine.

Il seguente filtro di esportazione acquisisce i log di accesso ai dati ed esclude gli eventi ad alto volume, come le operazioni di lettura ed elenco di Cloud Storage e Cloud SQL:

( log_id("cloudaudit.googleapis.com/data_access")
  AND NOT protoPayload.methodName =~ "^storage\.(buckets|objects)\.(get|list)$"
  AND NOT protoPayload.request.cmd = "select"
  AND NOT protoPayload.methodName =~ "^google\.spanner\.v1\.Spanner\.(ExecuteStreamingSql|BeginTransaction|Commit)$" )

Per saperne di più sull'ottimizzazione dei log di accesso ai dati generati da Cloud Audit Logs, consulta Gestisci il volume degli audit log di accesso ai dati.

Esempi di filtri di esportazione

I seguenti esempi di filtri di esportazione illustrano come includere o escludere determinati tipi di log dall'esportazione nella tua istanza di Google SecOps.

Esempio di filtro di esportazione: includi tipi di log aggiuntivi

Il seguente filtro di esportazione esporta i log di Access Transparency oltre ai log predefiniti:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
log_id("cloudaudit.googleapis.com/access_transparency")

Esempio di filtro di esportazione: includi log aggiuntivi di un progetto specifico

Il seguente filtro di esportazione esporta i log di Access Transparency da un progetto specifico, oltre ai log predefiniti:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "projects/my-project-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Esempio di filtro di esportazione: includi log aggiuntivi da una cartella specifica

Il seguente filtro di esportazione esporta i log di Access Transparency da una cartella specifica, oltre ai log predefiniti:

log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event") OR
logName = "folders/my-folder-id/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Esempio di filtro di esportazione: escludi i log di un progetto specifico

Il seguente filtro di esportazione esporta i log predefiniti dall'intera organizzazione Google Cloud , ad eccezione di un progetto specifico:

(log_id("dns.googleapis.com/dns_queries") OR
log_id("cloudaudit.googleapis.com/activity") OR
log_id("cloudaudit.googleapis.com/system_event")) AND
(NOT logName =~ "^projects/my-project-id/logs/.*$")

Esporta i metadati degli asset Google Cloud

Puoi esportare i metadati degli asset Google Cloud da Cloud Asset Inventory a Google SecOps. Questi metadati degli asset vengono estratti da Cloud Asset Inventory e sono costituiti da informazioni sui tuoi asset, risorse e identità, tra cui:

  • Ambiente
  • Località
  • Zona
  • Modelli hardware
  • Relazioni di controllo dell'accesso tra risorse e identità

I seguenti tipi di metadati degli asset Google Cloud verranno esportati nella tua istanza di Google SecOps:

  • GCP_BIGQUERY_CONTEXT
  • GCP_COMPUTE_CONTEXT
  • GCP_IAM_CONTEXT
  • GCP_IAM_ANALYSIS
  • GCP_STORAGE_CONTEXT
  • GCP_CLOUD_FUNCTIONS_CONTEXT
  • GCP_SQL_CONTEXT
  • GCP_NETWORK_CONNECTIVITY_CONTEXT
  • GCP_RESOURCE_MANAGER_CONTEXT

Di seguito sono riportati alcuni esempi di metadati dell'asset Google Cloud :

  • Nome applicazione: Google-iamSample/0.1
  • Nome progetto: projects/my-project

Per esportare i metadati degli asset Google Cloud in Google SecOps, imposta l'opzione Metadati di Cloud Asset su Abilitato.

Per saperne di più sull'esportazione di log di contesto specifici e sulla loro importazione in Google SecOps, consulta Configurazione e importazione del parser predefinito e cerca "contesto" o "analisi".

Esporta i risultati di Security Command Center

Puoi esportare i risultati di Event Threat Detection di Security Command Center Premium e tutti gli altri risultati in Google SecOps.

Google SecOps supporta le seguenti classi di risultati di Security Command Center:

  • ERROR
  • MISCONFIGURATION
  • OBSERVATION
  • POSITIVE_VALIDATION
  • POSTURE_VIOLATION
  • THREAT
  • TOXIC_COMBINATION
  • UNSPECIFIED
  • VULNERABILITY

Per ulteriori informazioni sui risultati di ETD, consulta Panoramica di Event Threat Detection.

Per esportare i risultati di Security Command Center Premium in Google SecOps, imposta l'opzione Risultati di Security Command Center Premium su Abilitato. Per esportare i risultati Premium in Google SecOps, devi aver attivato Security Command Center Premium a livello di organizzazione.

Risoluzione dei problemi relativi ai risultati di Security Command Center

L'importazione dei log diGoogle Cloud si interrompe se vengono apportate modifiche alla licenza Security Command Center Premium della tua organizzazione. Ciò può verificarsi quando esegui il downgrade del livello di Security Command Center, dopo la scadenza di una prova o a causa di altre modifiche alla licenza, che causano la disattivazione automatica dell'importazione dei log Google Cloud da parte di Google SecOps. L'impatto è un'interruzione immediata dell'importazione dei log dalle origini Google Cloud configurate, con conseguente lacuna di visibilità. Tieni presente che i log generati mentre l'importazione è disattivata non possono essere raccolti retroattivamente.

Per risolvere il problema e riprendere l'importazione dei log, riattiva manualmente l'esportazione dei log Google Cloud nella console Google Cloud e applica i filtri di esportazione pertinenti:

  • Se sei il proprietario del progetto associato: nella console Google Cloud , vai a Sicurezza > Google SecOps > Impostazioni di importazione, seleziona il progetto e l'organizzazione associati e attiva l'opzione Invio di dati a Google Security Operations. Per i passaggi dettagliati, consulta Configura l'importazione quando il progetto è di proprietà del Project Owner.
  • Se l'istanza utilizza un progetto gestito da Google: nella console Google Cloud , vai alla scheda Google SecOps > Panoramica > Importazione, fai clic su Gestisci le impostazioni di importazione dell'organizzazione e riattiva le opzioni di esportazione dei dati. Per i passaggi dettagliati, consulta Configura l'importazione per un progetto gestito da Google.
  • Se l'istanza utilizza una mappatura complessa: se l'istanza mappa più organizzazioni Google Cloud a una singola istanza Google SecOps, non è disponibile alcuna opzione self-service. Contatta l'assistenza di Google SecOps per riattivare l'importazione.

Attendi qualche minuto affinché la connessione venga ristabilita. Puoi verificare che l'importazione sia ripresa cercando nuovi log in Ricerca.

Esporta i dati di Sensitive Data Protection

Puoi esportare i dati di Sensitive Data Protection in Google SecOps.

Per importare i metadati degli asset di Sensitive Data Protection (DLP_CONTEXT), segui questi passaggi:

  1. Attiva l'acquisizione dei dati Google Cloud completando la sezione precedente di questo documento.
  2. Configura Sensitive Data Protection per profilare i dati.
  3. Imposta la configurazione di scansione in modo da pubblicare i profili di dati in Google SecOps.

Per informazioni dettagliate sulla creazione di profili di dati per i dati BigQuery, consulta la documentazione di Sensitive Data Protection.

Disattiva l'acquisizione dei dati Google Cloud

I passaggi per disattivare l'importazione diretta dei dati da Google Cloud variano a seconda di come è configurato Google SecOps. Scegli una delle opzioni seguenti:

  • Se la tua istanza Google SecOps è associata a un progetto di tua proprietà e che gestisci, segui questi passaggi:

    1. Seleziona il progetto associato alla tua istanza di Google SecOps.
    2. Nella console Google Cloud , vai alla scheda Importazione in Google SecOps.
      Vai alla pagina Google SecOps
    3. Nel menu Organizzazione, seleziona l'organizzazione da cui vengono esportati i log.
    4. Imposta l'opzione di attivazione/disattivazione Invio di dati a Google Security Operations su Disattivato.
    5. Se hai configurato l'esportazione dei dati da più organizzazioni e vuoi disattivare anche queste, segui questi passaggi per ogni organizzazione.

  • Se la tua istanza di Google SecOps è associata a un progetto di proprietà e gestito da Google Cloud , segui questi passaggi:

    1. Vai alla pagina Google SecOps > Ingestione nella console Google Cloud .
      Vai alla pagina Google SecOps
    2. Nel menu delle risorse, seleziona l'organizzazione associata alla tua istanza di Google SecOps e da cui stai importando i dati.
    3. Seleziona la casella Voglio disconnettermi da Google SecOps e interrompere l'invio dei log di Google Cloud in Google SecOps.
    4. Fai clic su Scollega Google SecOps.

Controlla la frequenza di importazione

Quando la frequenza di importazione dati per un tenant raggiunge una determinata soglia, Google Security Operations limita la frequenza di acquisizione per i nuovi feed di dati per impedire che un'origine con una frequenza di acquisizione elevata influisca sulla frequenza di acquisizione di un'altra origine dati. In questo caso, si verifica un ritardo, ma non vengono persi dati. La soglia è determinata dal volume di importazione e dalla cronologia di utilizzo del tenant.

Puoi richiedere un aumento del limite di frequenza contattando l'assistenza clienti Google Cloud.

Risoluzione dei problemi

  • Se nella tua istanza di Google SecOps mancano le relazioni tra risorse e identità, disattiva e riattiva l'importazione diretta dei dati di log in Google SecOps.
  • I metadati degli assetGoogle Cloud vengono importati periodicamente in Google SecOps. Attendi alcune ore prima che le modifiche vengano visualizzate nell'interfaccia utente e nelle API di Google SecOps.

  • Quando aggiungi un tipo di log al filtro di esportazione, potresti visualizzare il messaggio "Il filtro fornito potrebbe consentire tipi di log non supportati".

    Soluzione alternativa: includi nel filtro di esportazione solo i tipi di log visualizzati nel seguente elenco: Tipi di logGoogle Cloud supportati per l'esportazione.

Passaggi successivi

  • Apri l'istanza Google SecOps utilizzando l'URL specifico del cliente fornito dal tuo rappresentante Google SecOps.
  • Scopri di più su Google SecOps.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.